Post-Equifax ID Wasteland: Samtaler dukker opp for en universell digital ID

I kjølvannet av det enorme bruddet på Equifax-data, har det nok en gang blitt lyst ut et søkelys på overforbruk av ikke-så-hemmelig nummer som passerer for en nasjonal ID i USA - Social Security Number (SSN). Kanskje har vi blitt følelsesløse for disse hakkene og datainnbruddene. Hva, kredittkortnummeret mitt ble kompromittert? Kredittkortselskapet vil kansellere det og utstede et nytt. Adresseinformasjonen min? Mobilnummeret mitt? Vel, det er allerede der mange steder. Bankkontonummeret mitt? Uansett, jeg vil endre det.

Hold det - noen fikk SSN-en? Det er ikke lett å endre. Og dessverre, den ene er overforbruk for identitet ikke bare av offentlige etater, men også av verktøy, telekom og finansielle tjenester for å identifisere deg og gi deg kreditt og tilgang til tjenestene deres.

Opphav til SSN

SSN ble aldri designet for å være en universell ID. Den ble designet for å identifisere en person på en unik måte, spore levetidens inntekt og gjøre det mulig for dem å samle fordelene ved pensjon. Skattemyndighetene og en rekke andre offentlige etater på alle nivåer vedtok den som en identifikator. Private selskaper, gitt mangelen på noen annen form for universell identifikasjon, vedtok den som en form for å etablere regnskap utvetydig. Og det har blitt et krav for å ha en bankkonto og de fleste andre finansielle tjenester.

SSN er nøkkelen til all informasjon store kredittbyråselskaper liker Equifaxhold om oss - men gitt hvor ofte du bruker den til identifikasjon, kan den ikke betraktes som en hemmelighet som et passord. I 2009 fant forskere ved Carnegie Mellon University at de kunne utvikle en algoritme for å gjette SSN-er fra offentlig tilgjengelig informasjon. En del av grunnen til det er den opprinnelige strukturen til selve SSN, som er basert på tilstanden til problemet og også er gruppert rundt fødselsdato. Siden slutten av 1980 ble de automatisk utstedt ved fødselen. Å vite hvor og når noen ble født - noe fritt røpet av mange på Facebook - kan hjelpe en hacker med å utlede en SSN med en gjettalgoritme og en rimelig kraftig bærbar PC.

Så SSN er ikke en sikker form for ID i dagens internett-tilkoblede verden. Hva er alternativet? Etter 9 / 11 kom spørsmålet om sikre nasjonale ID-er opp som en måte å sikre mot forfalskning av ID-dokumenter for reiser og andre formål. I 2001, Larry Ellison av Oracle ba om en kryptografisk sikker nasjonal ID, og tilbød seg å tilby den nødvendige teknologien gratis. Reaksjonen var forutsigbar, som konservative, libertarianere og sivile frihetsgrupper bekymret for personvern var voldsomt imot konseptet.

Selv om det fortsetter å være sterk motstand mot den ovennevnte ideen, har andre anstrengelser for sikrere ID-er kommet frem. Basert på 9 / 11-kommisjonens anbefaling, vedtok Kongressen i 2005 Kongressen REAL ID Act, som setter minimums sikkerhetsstandarder for utstedte ID-er som førerkort. Dette er langt fra en universell ID, og ​​var virkelig designet for å gjøre det vanskeligere å forfalske denne typen identifikasjon, for å gi bedre sikkerhet for flyselskapsreiser og tilgang til føderale bygninger. Bedre sikkerhetsstandarder for førerkort vil hjelpe, ettersom de fremdeles brukes til fysisk identifikasjon for større transaksjoner som kjøp av bil eller hus, men oftere enn ikke bare er nummeret nødvendig for en fjerntransaksjon av noe annet slag. Hvis en hacker scorer en full Equifax-profil (inkludert et SSN og førerkortnummer) på noen, er de i virksomhet.

Moderne universell ID-design

Utenfor USA, kanskje mest ambisiøse nasjonale ID-innsats er Aadhaar i India, som nå omfatter 1.2 milliarder mennesker. Opprinnelig startet i 2009 som en måte å unikt identifisere mennesker for myndighetene sosiale velferdstjenester, har det blitt en all-but-obligatorisk identifikasjon for reise, finansielle tjenester og internettjenester. Hvis det høres uhyggelig ut som bruken av SSN i ​​USA, vel, er det - bortsett fra at Aadhaar er et system basert på moderne teknologi, som bruker fingeravtrykk, irisskanninger og bilder som unike identifikatorer.

Noen kritikere i India er bekymret for implikasjonene av å la private selskaper tappe inn i systemet. Tidligere i år viste Microsoft en demo i Mumbai av sin nye Skype Lite-tjeneste ved å bruke AAdhaar for å identifisere en bruker på en unik måte. Selv om autorisasjonsprosessen ligner på å bruke en Facebook- eller Google-påloggingsautorisering for å identifisere noen på nettet (som i disse tilfellene ikke virkelig fungerer som en identifikasjon av en ekte person) ved at dataene om identiteten ikke blir gitt videre, bekymringer om sikkerhet og personvern er gyldige.

Les hele historien her ...